CVE-2026-30862

Stored XSS w Appsmith Table Widget prowadzący do przejęcia konta admina

CVSS 9.0v3.1pub. 2026-03-10upd. 2026-03-13

W platformie Appsmith przed wersją 1.96 odkryto krytyczną podatność typu Stored XSS w komponencie Table Widget (TableWidgetV2), wynikającą z braku sanityzacji HTML w procesie renderowania React. Podatność umożliwia zwykłemu użytkownikowi przejęcie pełnej kontroli nad kontem Administratora Systemu.

▸ Pokaż oryginał (EN)

Appsmith is a platform to build admin panels, internal tools, and dashboards. Prior to 1.96, a Critical Stored XSS vulnerability exists in the Table Widget (TableWidgetV2). The root cause is a lack of HTML sanitization in the React component rendering pipeline, allowing malicious attributes to be interpolated into the DOM. By leveraging the "Invite Users" feature, an attacker with a regular user account (user@gmail.com) can force a System Administrator to execute a high-privileged API call (/api/v1/admin/env), resulting in a Full Administrative Account Takeover. This vulnerability is fixed in 1.96.

🤖 Analiza AI

Jak działa

Podatność wynika z braku sanityzacji danych wejściowych w pipeline renderowania komponentów React — złośliwe atrybuty mogą być wstrzykiwane bezpośrednio do DOM. Atakujący z kontem zwykłego użytkownika wykorzystuje funkcję 'Invite Users' do dostarczenia złośliwego payloadu XSS. Gdy Administrator Systemu wyświetli zainfekowany widget, przeglądarka wykonuje skrypt, który w jego imieniu wywołuje uprzywilejowany endpoint API (/api/v1/admin/env). W efekcie atakujący uzyskuje pełne przejęcie konta administracyjnego (Full Administrative Account Takeover).

Skutki

Atakujący może przejąć pełną kontrolę nad kontem Administratora Systemu, uzyskując tym samym nieograniczony dostęp do konfiguracji środowiskowej i wszystkich danych zarządzanych przez platformę Appsmith.

Mitygacja

Należy zaktualizować Appsmith do wersji 1.96 lub nowszej, w której producent usunął opisaną podatność poprzez wprowadzenie odpowiedniej sanityzacji HTML.

Kogo dotyczy

Appsmith we wszystkich wersjach poprzedzających 1.96.

Uwagi

Podatność wymaga interakcji użytkownika (UI:R) — konieczne jest, aby Administrator Systemu wyświetlił stronę zawierającą złośliwy widget. Zakres ataku wykracza poza kontekst sesji atakującego (S:C), co podkreśla powagę eskalacji uprawnień.